(57)【特許請求の範囲】
【請求項１】
ホスト装置との間でデータの入出力を行う情報記憶装置であって、
前記ホスト装置からのアクセスを受け付けるアクセス受付部と、
前記ホスト装置からのアクセスを認証するか否かを判定する認証処理部と、
第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記第１アクセス状況を計測しない非対象領域と、を有する記憶部と、
前記アクセス受付部が前記ホスト装置からのアクセスを受け付けると、前記認証処理部での認証が成功している場合には前記第１領域へのアクセスを許可し、前記認証処理部での認証が失敗している場合には前記第２領域へのアクセスに切り替えるデータ切替部と、
前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスが前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測するアクセス計測部と、
前記アクセス計測部での計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化する無効化部と、
を備える情報記憶装置。
【請求項２】
前記認証処理部での認証が成功している場合に、前記第１領域のアクセス先毎にアクセス回数及び／又はアクセス時間を含む第２アクセス状況を計測し、前記第２アクセス状況に基づいて前記対象領域を決定する対象領域決定部をさらに備える、請求項１に記載の情報記憶装置。
【請求項３】
前記認証処理部での認証が成功している場合に、前記ホスト装置からのアクセスを受け付け、前記アクセスに応じて前記第１領域にアクセスする第１処理部と、
前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスを受け付け、前記アクセスに応じて前記第２領域にアクセスする第２処理部と、
前記データ切替部は、前記認証処理部での認証が成功している場合に前記第１処理部を起動し、前記認証処理部での認証が失敗している場合に前記第２処理部を起動し、
前記アクセス計測部は、前記第２処理部が受け付けた前記ホスト装置からのアクセスが、前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測する、請求項１又は２に記載の情報記憶装置。
【請求項４】
ホスト装置との間でデータの入出力を行う情報記憶装置に実行させるための情報記憶プログラムであって、
前記ホスト装置からのアクセスを受け付けるアクセス受付部、
前記ホスト装置からのアクセスを認証するか否かを判定する認証処理部、
第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記第１アクセス状況を計測しない非対象領域と、を有する記憶部、
前記アクセス受付部が前記ホスト装置からのアクセスを受け付けると、前記認証処理部での認証が成功している場合には前記第１領域へのアクセスを許可し、前記認証処理部での認証が失敗している場合には前記第２領域へのアクセスに切り替えるデータ切替部、
前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスが前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測するアクセス計測部、
前記アクセス計測部での計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化する無効化部、
として前記情報記憶装置を機能させる情報記憶プログラム。
【請求項５】
ホスト装置との間でデータの入出力を行う情報記憶装置が行う情報記憶方法であって、
前記情報記憶装置は、第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記第１アクセス状況を計測しない非対象領域と、を有する記憶部を備えており、
前記ホスト装置からのアクセスを受け付け、
前記ホスト装置からのアクセスを認証するか否かを判定し、
前記ホスト装置からのアクセスについて前記認証が成功している場合には前記第１領域へのアクセスを許可し、前記認証が失敗している場合には前記第２領域へのアクセスに切り替え、
前記認証が失敗している場合に、前記ホスト装置からのアクセスが前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測し、
前記計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化するか否かを判定する、
情報記憶方法。
【発明の詳細な説明】
【技術分野】
【０００１】
情報記憶装置に記憶された情報を不正アクセスから保護する技術に関する。
【背景技術】
【０００２】
情報記憶装置に格納された機密データを保護するため、その機密データへのアクセスを制限している。例えば、機密データへのアクセスの前に情報記憶装置のユーザにパスワードの入力を求め、入力されたパスワードと予め登録されているパスワードとに基づいて、認証を行う。その結果、認証された正当ユーザのみに機密データへのアクセスを許可する。逆に、認証されなかった不正ユーザは機密データのアクセスが拒否される。認証において、一般的にパスワードの入力が所定の上限回数まで可能であり、認証が失敗すると情報記憶装置は上限回数に達するまでパスワードを再度入力するように促す。
【０００３】
また、特許文献１には、入力されたパスワードと予め登録されているパスワードとの差異の程度を比較する情報記憶装置が開示されている。特許文献１の情報記憶装置は、差異の程度が大きく不正アクセスであると判断すると、電源をオフして不正ユーザのアクセスを拒否する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平11-259425号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上述の情報記憶装置では、認証が失敗するとパスワードの再入力を促したり、電源をオフするため、不正ユーザに認証が失敗していることを把握されてしまう。そのため、不正ユーザは、例えば情報記憶装置を分解するなどして機密データを搾取しようする。これでは機密データを有効に保護することができない。
【０００６】
そこで、認証が失敗していることを把握されないようにすることでデータを保護する技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、ホスト装置との間でデータの入出力を行うとともに、以下の構成を備える情報記憶装置を提供する。
・前記ホスト装置からのアクセスを受け付けるアクセス受付部。
・前記ホスト装置からのアクセスを認証するか否かを判定する認証処理部。
・第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記第１アクセス状況を計測しない非対象領域と、を有する記憶部。
・前記アクセス受付部が前記ホスト装置からのアクセスを受け付けると、前記認証処理部での認証が成功している場合には前記第１領域にアクセスし、前記認証処理部での認証が失敗している場合には前記第２領域へのアクセスに切り替えるデータ切替部。
・前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスが前記第１領域又は前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測するアクセス計測部。
・前記アクセス計測部での計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化する無効化部。
【発明の効果】
【０００８】
上記構成により、認証が失敗していることを把握されないようにすることでデータを保護する技術を提供することができる。
【図面の簡単な説明】
【０００９】
【図１】第１実施形態例にかかる情報記憶装置の記憶領域を示す説明図。
【図２】第１実施形態にかかる情報記憶装置及びホスト装置の全体構成及びハードウェア構成を示すブロック図の一例。
【図３】第１実施形態例にかかる情報記憶装置の機能構成を示すブロック図の一例。
【図４Ａ】認証結果記憶部が記憶する認証結果の一例（１）。
【図４Ｂ】認証結果記憶部が記憶する認証結果の一例（２）。
【図５】データ切替テーブルの一例。
【図６Ａ】カウント条件テーブルの一例（１）。
【図６Ｂ】カウント条件テーブルの一例（２）。
【図７Ａ】ダミーデータの生成方法の一例を説明する説明図（モード１）。
【図７Ｂ】ダミーデータの生成方法の一例を説明する説明図（モード２）。
【図７Ｃ】ダミーデータの生成方法の一例を説明する説明図（モード３）。
【図８】カウント結果記憶部の一例。
【図９】第１実施形態例にかかる情報記憶装置が実行する全体処理の流れの一例を示すフローチャート。
【図１０】第１実施形態例にかかる認証処理の流れの一例を示すフローチャート。
【図１１】第１実施形態例にかかるダミーデータへの切替処理の流れの一例を示すフローチャート。
【図１２】第１実施形態例にかかるアクセス制限データの無効化処理の流れの一例を示すフローチャート。
【図１３】ホスト装置のディスプレイに表示される、カウント条件テーブルを設定するための画面例。
【図１４】カウント領域及び無効化方法を設定するための登録コマンドに含まれる情報の一例。
【図１５】データ切替テーブル及びカウント条件テーブルの設定処理の流れの一例を示すフローチャート。
【図１６】データ切替テーブル及びカウント条件テーブルの一例。
【図１７】本変形例にかかる情報記憶装置の記憶領域を示す説明図。
【図１８】第２実施形態例に係る情報記憶装置の機能構成を示すブロック図の一例。
【図１９】アクセス状況記憶部の一例。
【図２０】第３実施形態例に係る情報記憶装置の機能構成を示すブロック図の一例。
【図２１】第３実施形態例にかかる情報記憶装置が実行する全体処理の流れの一例を示すフローチャート。
【図２２】複数の認証パスワードが設定された場合の認証処理を説明する模式図（１）。
【図２３】複数の認証パスワードが設定された場合の認証処理を説明する模式図（２）。
【発明を実施するための形態】
【００１０】
＜第１実施形態例＞
（１）概要
図１は、第１実施形態例にかかる情報記憶装置の記憶領域を示す説明図である。第１実施形態例にかかる情報記憶装置１００の記憶領域は、アクセス制限領域１００ａ及びダミーデータ領域１００ｂを含む。アクセス制限領域１００ａには、アクセスが制限されたアクセス制限データが記憶されており、アクセス制限データへのアクセスは、例えば認証が成功した場合にのみ可能となる。ダミーデータ領域１００ｂには、アクセス制限データの代替となるダミーデータが記憶されている。その他、図示していないが、記憶領域にはＯＳ（Operating System）、ファームウェアなどの各種プログラム、その他各種データなどが記憶されている。
【００１１】
認証が成功している場合には、情報記憶装置１００は記憶領域へのアクセスを許可し、アクセス制限領域１００ａにアクセスする。一方、認証が失敗している場合には、情報記憶装置１００はアクセス制限領域１００ａへのアクセスを禁止し、ダミーデータ領域１００ｂへのアクセスに切り替える。これにより、認証が失敗している不正ユーザがアクセス制限データにアクセスするのを阻止することができる。また、不正ユーザは、アクセス制限データを取得することはできないものの、ダミーデータを取得することができるため、認証が失敗しているという印象を受けない。そのため、情報記憶装置は、認証されていないホスト装置からのアクセスを、アクセスを拒否するための所定の閾値まで誘引し、後述の無効化部によるアクセス制限データの無効化を実行可能とする。これにより、漏洩、改ざん、情報記憶装置の破壊による搾取などの不正アクセスからアクセス制限データを保護することができる。
【００１２】
また、ダミーデータ領域１００ｂは、図１に示すようにカウント領域Ａ、Ｂ、Ｃ及び非カウント領域Ａ、Ｂを含む。認証が失敗するとダミーデータ領域１００ｂへのアクセスに切り替えられるが、情報記憶装置１００は、そのアクセス先がカウント領域Ａ、Ｂ、Ｃに含まれる場合は、アクセス回数及び／又はアクセス時間などのアクセス状況を取得する。情報記憶装置１００は、アクセス先が非カウント領域Ａ、Ｂに含まれる場合は、アクセス状況を取得しない。情報記憶装置１００は、カウント領域Ａ〜Ｃへのアクセス状況のみに基づいて、アクセス制限領域１００ａのアクセス制限データを無効化する処理を行う。例えば、認証が失敗している場合に、ダミーデータ領域１００ｂのうちカウント領域Ａ及びカウント領域Ｂへのアクセス回数が累計で５回に達し所定の閾値に達したとする。情報記憶装置１００は、アクセス制限データを消去及び上書きするなどして無効化し、不正アクセスによりアクセス制限データが漏洩、改ざんなどされるのを防ぐ。
【００１３】
ここで、情報記憶装置にアクセスが認証されるはずの正当ユーザであっても、認証に必要なパスワードの入力間違いなどにより認証が失敗する場合がある。前記構成であれば、正当ユーザによる認証が失敗しても、ダミーデータ領域１００ｂの全ての領域がカウント領域である場合に比べて、アクセス制限データを無効化するまでのマージンを大きくすることができる。つまり、認証が失敗している場合において、全てのアクセス状況を取得する場合よりも、所定のカウント領域へのアクセス状況のみを取得する場合の方が、所定の閾値に達するまでのマージンを大きくできる。そのため、アクセス制限データを無効化するまでのマージンも大きくすることができる。これにより、正当ユーザによる認証が失敗する場合も考慮した情報記憶装置１００を設計することができる。
【００１４】
（２）全体構成
図２は、第１実施形態にかかる情報記憶装置及びホスト装置の全体構成及びハードウェア構成を示すブロック図の一例である。情報記憶装置１００は、例えばＳＣＳＩ（Small Computer System Interface）及びＡＴＡ（Advanced Technology Attachment）などのインターフェースなどを介してホスト装置２００と接続されている。また、情報記憶装置１００は、インターネットなどのネットワークを介してホスト装置２００と接続されていても良い。ユーザは、ホスト装置２００を用いて情報記憶装置１００に格納されたデータの読み書きをする。よって、情報記憶装置１００は、ホスト装置２００からのデータの書き込みを要求するライトコマンド及びデータの読み出しを要求するリードコマンドなどのコマンドに応じた処理を行う。
【００１５】
（３）ハードウェア構成
再び図２を用いて情報記憶装置１００及びホスト装置２００のハードウェア構成を説明する。
【００１６】
情報記憶装置１００は、例えば、ＣＰＵ（Central Processing Unit）１０１、不揮発性メモリ１０２、ＲＡＭ（Random Access Memory）１０３、通信Ｉ／Ｆ（InterFace）１０４を有している。これらは、バス１０５を介して互いに接続されている。
【００１７】
情報記憶装置１００としては、例えばメモリカード、ＵＳＢ（Universal Serial Bus ）メモリ、ハードディスク及びＳＳＤ（Solid State Drive）などが挙げられる。
【００１８】
不揮発性メモリ１０２は、ＣＰＵ１０１に情報記憶装置１００の基本的な制御を実行させるためファームウェアと呼ばれるプログラムを記憶している。本実施形態例にかかるアクセス制限データへの不正アクセスを阻止するための各種制御もファームウェアの実行により実現される。不揮発性メモリ１０２は、例えば永久記憶可能であり、かつ書き換え可能な記憶装置であり、一例としてEEPROM(Electrically Erasable Programmable Read Only Memory）などのフラッシュメモリが挙げられる。
【００１９】
ＣＰＵ１０１は、不揮発性メモリ１０２に記憶されているファームウェアを、ＲＡＭ１０３に一時記憶させ、情報記憶装置１００の基本的な制御及び本実施形態例にかかる各種制御を実行する。
【００２０】
ＲＡＭ１０３は、不揮発性メモリ１０２内のファームウェアを一時的に記憶する。また、ＲＡＭ１０３は、アクセス制限データ及びダミーデータを含む各種データを記憶している。
【００２１】
通信Ｉ／Ｆ１０４は、ホスト装置２００との間でコマンド又はデータの送受信などの通信を行う。
【００２２】
情報記憶装置１００は、その他、ＲＯＭを備えていても良く、アクセス制限データ及びダミーデータ等はＲＯＭに記憶されていても良い。
【００２３】
一方、ホスト装置２００では、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、通信Ｉ／Ｆ２０４、フラッシュメモリ２０５及び入出力機器コントローラ２０６がバス２１１を介して接続されている。また、入出力機器コントローラ２０６には、スピーカ２０７、ディスプレイ２０８、キーボード２０９及びマウス２１０等が接続されている。
【００２４】
入出力機器コントローラ２０６は、スピーカ２０７、ディスプレイ２０８、キーボード２０９及びマウス２１０等を介してユーザから入力を受け付けるとともに、映像及び音声を出力する。例えば、キーボード２０９及びマウス２１０等は、情報記憶装置１００へのアクセスを可能とするためのパスワードの入力をユーザから受け付ける。また、例えば、キーボード２０９及びマウス２１０等は、情報記憶装置１００からのデータの読み出し、情報記憶装置１００へのデータの書き込み、情報記憶装置１００内のファームウェアの書き換えなどの要求をユーザから受け付ける。スピーカ２０７及びディスプレイ２０８等は、情報記憶装置１００から読み出されたデータを出力する。
【００２５】
フラッシュメモリ２０５は、パスワードの設定、ホスト装置２００に接続された周辺機器を制御するためなどの基本プログラムであるＢＩＯＳ（Basic Input Output System）を記憶している。
【００２６】
ＲＯＭ２０２は、ホスト装置２００の各種制御に関わる各種制御プログラムを記憶している。
【００２７】
ＲＡＭ２０３は、ＢＩＯＳ及び各種制御プログラムなどを一時的に記憶する。
【００２８】
ＣＰＵ２０１は、フラッシュメモリ２０５に記憶されたＢＩＯＳ及びＲＯＭ２０２に記憶された各種制御プログラムをＲＡＭ２０３に展開し、ホスト装置２００の制御を行う。ユーザから受け付けた各種要求に基づいて情報記憶装置１００に送信するコマンドを生成することもＣＰＵ２０１が行う処理の１つである。例えば、コマンドには、認証コマンド、リードコマンド、ライトコマンド及び登録コマンドが含まれる。認証コマンドは、ユーザからの認証要求に基づいて生成され、例えばユーザが入力したパスワードなどを含む。リードコマンド及びライトコマンドには、アクセス先のアドレス等が含まれる。登録コマンドは、情報記憶装置１００内のファームウェアの書き換え要求に基づいて生成され、ファームウェアの書換場所及び書換内容などを含む。
【００２９】
通信Ｉ／Ｆ２０４は、情報記憶装置１００との間でコマンド又はデータの送受信などの通信を行う。
【００３０】
（４）機能構成
図３は、第１実施形態例にかかる情報記憶装置の機能構成を示すブロック図の一例である。図３に示す機能は、情報記憶装置１００のＣＰＵ１０１が、不揮発性メモリ１０２内に記憶されたファームウェアを実行することにより構成される。以下に、図３の各構成について説明する。
【００３１】
（４−１）送受信部
送受信部３０１は、ホスト装置２００から入力される各種コマンドを受信し、各機能部に送信する。例えば、送受信部３０１は、認証コマンドをホスト装置２００から受信し、認証処理部３０２に出力する。また、送受信部３０１は、リードコマンド及びライトコマンドをデータ切替部３１０に出力する。また、送受信部３０１は、登録コマンドを登録部３０６に出力する。
【００３２】
（４−２）認証処理部、認証結果記憶部
認証処理部３０２は、ホスト装置２００からのアクセスを認証するか否かを判定する認証処理を行う。まず、認証処理部３０２は、送受信部３０１からユーザが入力したパスワードを含む認証コマンドを受信する。認証処理部３０２は、情報記憶装置１００の起動時など、ホスト装置２００が情報記憶装置１００の記憶領域に最初にアクセスする前に、認証コマンドを受信し認証処理を行う。認証処理部３０２は、予め認証に必要な認証パスワードを登録しており、ユーザが入力したパスワードと、認証パスワードと、を比較し、ホスト装置２００からのアクセスを認証するか否かを判定する。認証処理部３０２は、認証結果を認証結果記憶部３０３に出力する。
【００３３】
その他、認証処理部３０２は認証コマンドを受信していないにもかかわらず、記憶領域へのアクセスを受信すると、そのアクセスを認証しない。
【００３４】
図４Ａ及び図４Ｂは、認証結果記憶部が記憶する認証結果の一例である。認証結果記憶部３０３は、認証処理部３０２から受信した認証結果を記憶する。例えば、認証パスワードとしてパスワードＡが登録されており、認証が成功した場合には図４Ａに示すように認証結果に“ＯＫ”が記憶される。逆に、認証が失敗した場合には、例えば図４Ｂに示すように認証結果に“ＮＧ”が記憶される。認証結果記憶部３０３は、例えば認証処理部３０２が起動時に認証を行ってから情報記憶装置１００の電源がオフされるまで認証結果を保持している。認証結果が認証結果記憶部３０３に記憶された後、ホスト装置２００から情報記憶装置１００に複数回のアクセスが行われた場合、各アクセスに応じて認証結果が読み出されて利用される。そのため、情報記憶装置１００は、ホスト装置２００が情報記憶装置１００にアクセスする度に認証処理を行う必要がない。これにより、認証処理に要する時間が削減され、情報記憶装置１００はホスト装置２００からのアクセスに伴うアクセス処理に要する時間を全体として抑制することができる。なお、情報記憶装置１００が再び起動される際には、再び認証処理が行われ、認証結果記憶部３０３は新たな認証結果を記憶する。
【００３５】
（４−３）アクセス制限データ記憶部、ダミーデータ記憶部
アクセス制限データ記憶部３０４には、アクセスが制限されたアクセス制限データが記憶されている。アクセス制限データには認証が成功した場合にのみアクセスが可能であり、アクセス制限データとしては例えば、特定のユーザにのみ開示されている機密情報などが挙げられる。
【００３６】
ダミーデータ記憶部３０５には、アクセス制限データの代替となるダミーデータが記憶されている。ダミーデータ記憶部３０５には、後述のダミーデータ生成部３０９により生成されるダミーデータ及び外部装置から取り込んだダミーデータなどが記憶されている。
【００３７】
なお、以下でデータ記憶部３０４、３０５とは、アクセス制限データ記憶部３０４及びダミーデータ記憶部３０５を含むものとする。
【００３８】
（４−４）登録部
登録部３０６は、送受信部３０１から登録コマンドを受信すると、まず、認証結果記憶部３０３を参照し、ホスト装置２００からのアクセスが認証されているか否かを取得する。登録部３０６は、認証が成功している場合には、登録コマンドに含まれるファームウェアの書き換え要求を受け付け、登録コマンドに基づいて、データ切替テーブル３０７及びカウント条件テーブル３０８などに各種条件の登録処理を行う。一方、認証が失敗している場合には、登録部３０６は、登録コマンドを受信しても登録処理を行わない。
【００３９】
登録コマンドには、例えば、正当ユーザが指定したカウント領域のアドレスが含まれる。正当ユーザからカウント領域の指定を受け付けるため、カウント領域の設定に関して正当ユーザの自由度を高めることができる。
【００４０】
（４−５）データ切替テーブル
図５は、データ切替テーブルの一例である。データ切替テーブル３０７には、登録部３０６が登録コマンドに基づいて設定した、データ切替に関連する項目が記憶されている。例えば、データ切替テーブル３０７は、ダミーデータへの切替を有効にするか無効にするか、つまり、認証が失敗している場合にダミーデータ記憶部３０５にアクセスさせるか否かを記憶している。ダミーデータへの切替が“有効”の場合には、アクセス制限データ記憶部３０４へのアクセスは禁止され、代わりにダミーデータ記憶部３０５へのアクセスに切り替えられる。その他、データ切替テーブル３０７は、ダミーデータの生成方法を指定したモード、ダミーデータ領域のアドレス及びアクセス制限領域のアドレスなどを記憶している。図５の例では、例えばダミーデータの切替を“有効”、つまり認証が失敗している場合にはアクセス制限データに代えてダミーデータを出力するように設定されている。また、図５の例の場合、ダミーデータ生成部３０９は、後述のモード１の生成方法によりダミーデータを生成し、図１に示すようにアドレス“Ｘ１ａ〜Ｘ１ｆ”にダミーデータを記憶させる。また、アクセス制限データはアドレス“Ｙ１〜Ｙ２”に記憶されている。
【００４１】
ここで、後述のダミーデータ生成部３０９は、例えばアクセス制限データ記憶部３０４をスナップショットするなどして複製することでダミーデータを生成している。この場合には、ダミーデータ領域１００ｂのアドレス空間Ｘ１ａ〜Ｘ１ｆのアドレスと、アクセス制限領域１００ａのアドレス空間Ｙ１〜Ｙ２のアドレスと、が対応付けられていると好ましい。
【００４２】
（４−６）カウント条件テーブル
図６Ａ及び図６Ｂは、カウント条件テーブルの一例である。カウント条件テーブル３０８には、登録部３０６が登録コマンドに基づいて設定した、アクセス状況の取得に関連する項目が記憶されている。例えば、カウント条件テーブル３０８は、アクセス状況を取得するカウント領域の場所を記憶している。図６Ａの例では、図１に示すダミーデータ領域１００ｂ内に、開始アドレス及び終了アドレスによりカウント領域Ａ〜Ｃが設定されている。例えば、カウント領域Ａの開始アドレスは“Ｘ１ａ”であり終了アドレスは“Ｘ１ｂ”である。
【００４３】
アクセス状況とは、アクセスがどのような状態にあるのかを表す指標である。アクセス状況は、特に限定されないが、例えばアクセス回数、アクセス時間、アクセス回数及びアクセス時間の累積などにより表される。また、アクセス状況の取得は、例えばアクセス回数などをカウントするなど、アクセス状況を計測するあらゆる方法により行うことが可能である。
【００４４】
ここで、認証が成功している場合にデータ記憶部３０４、３０５に行われたアクセスにおいて、アクセス回数及び／又はアクセス時間が、非カウント領域よりも少ない領域がカウント領域として設定されると好ましい。言い換えると、正当ユーザが例え認証に失敗しても、カウント領域は正当ユーザによるアクセスが少ない場所であるので、任意にカウント領域を設定する場合に比べてアクセス状況が計測される場合が少なくなる。よって、無効化部３１３によりアクセス制限データを無効化するまでのマージンを大きくすることができる。そのため、正当ユーザの認証が失敗した場合に正当ユーザがアクセス制限データにアクセスできなくなるなどの悪影響を抑制し、正当ユーザの利便性を向上することができる。
【００４５】
また、カウント条件テーブル３０８は、どのようなアクセス状況になれば、どのようにアクセス制限データの無効化を行うのかを記憶している。図６Ｂの例では、アクセス回数及びアクセス時間のそれぞれについて閾値が設定されており、削除によりアクセス制限データの無効化が行われる。ここで、無効化とは、アクセス制限データへのアクセスが出来ないようにするあらゆる処理を言う。例えば、アクセス制限データを別のデータで上書きする処理も無効化に含まれる。削除及び上書きにより無効化を行えば、情報記憶装置１００にアクセス制限データそのものが存在しなくなるので、アクセス制限データの漏洩及び改ざんなどの不正アクセスを防ぐことができる。その他、アクセス制限データに暗号化処理を施している場合には、暗号化鍵の消去も無効化に含まれる。これにより、アクセス制限データの復号が不可能となり、アクセス制限データへの不正アクセスを防ぐことができる。
【００４６】
（４−７）ダミーデータ生成部
ダミーデータ生成部３０９は、データ切替部３１０からダミーデータ生成の指示を受信すると、ダミーデータを生成する。つまり、データ記憶部３０４、３０５へのアクセスがあり、認証結果が“ＮＧ”であり、かつダミーデータへの切替が有効である場合には、ダミーデータ生成部３０９はデータ切替部３１０からダミーデータ生成の指示を受信する。この指示を受信すると、ダミーデータ生成部３０９は、データ切替テーブル３０７のダミーデータ生成方法を参照してダミーデータを生成し、指定されているダミーデータ領域にダミーデータを格納する。このとき、ダミーデータ生成部３０９は、ダミーデータ領域１００ｂのアドレスと、アクセス制限領域１００ａのアドレスと、を対応付けても良い。例えば、ダミーデータ領域１００ｂのアドレス空間Ｘ１ａ〜Ｘ１ｆのアドレスと、アクセス制限領域１００ａのアドレス空間Ｙ１〜Ｙ２のアドレスと、が１：１で対応付けられる。しかし、このような対応付けは必ずしもなされる必要はない。
【００４７】
前述のようにダミーデータ生成部３０９がダミーデータ生成の指示を受けて随時ダミーデータを生成することで、ダミーデータ記憶部３０５が予めダミーデータを記憶しておく場合より記憶容量を削減することができる。
【００４８】
なお、ダミーデータ生成部３０９は、データ切替部３１０の指示に基づいてダミーデータを生成するのではなく、送受信部からコマンドを受信し、データ切替テーブル３０７及び認証結果記憶部３０３を参照してダミーデータを生成しても良い。具体的には、ダミーデータ生成部３０９は、データ記憶部３０４、３０５へのアクセスがあり、認証結果が“ＮＧ”であり、かつダミーデータへの切替が有効であると判断すると、ダミーデータを生成する。
【００４９】
また、ダミーデータ生成部３０９は、指示に基づくのではなく、ＯＳのインストール時など所定の時間に予めダミーデータを生成するようにしても良い。
【００５０】
図７Ａ〜図７Ｃは、ダミーデータの生成方法の一例を説明する説明図である。ダミーデータの生成方法は特に限定されないが、例えば図７Ａ〜図７Ｃに示すモード１〜モード３の生成方法により生成される。
【００５１】
図７Ａに示すモード１の生成方法では、まず、ダミーデータ生成部３０９は、ホスト装置２００のユーザからアクセス制限領域１００ａのうち非公開とする領域の指定を受け付ける。また、ダミーデータ生成部３０９は、例えばアクセス制限データ記憶部３０４のスナップショットを作成し、作成したスナップショットにおいて非公開領域を消去、又は別データで上書きするなどしてダミーデータを生成する。なお、非公開領域の指定は、必ずしもユーザから受け付ける必要はなく、任意の領域を非公開の領域としても良い。
【００５２】
図７Ｂに示すモード２の生成方法では、ダミーデータ生成部３０９は、時刻ｔ１での記アクセス制限データ記憶部３０４のスナップショットを、ダミーデータとして生成する。時刻ｔ１とは、例えばＯＳのインストール直後など、アクセス制限データがまだ格納されていない時、あるいはアクセス制限データを作成している途中の時などである。ここで、時刻ｔ１以降のアクセス制限データ記憶部３０４は、時刻ｔ１でのスナップショットに、時刻ｔ１以降に変更された変更データを加えることで構成される。つまり、ダミーデータには、時刻ｔ１以降の変更データが含まれない。
【００５３】
図７Ｃに示すモード３の生成方法では、ダミーデータ生成部３０９は、例えばデータ記憶部３０４、３０５にアクセスがあった時点で、まずアクセス制限データ記憶部３０４のスナップショットを生成し、スナップショットに加工を加えてダミーデータＡを生成する。モード３の生成方法では、さらに所定の固定値で構成されたダミーデータＢを生成する。よって、モード３では、複数のダミーデータを用意しておくことができる。
【００５４】
上記の生成方法では、アクセス制限データ記憶部３０４を複製したデータに基づいてダミーデータを生成している。アクセス制限データに基づいてダミーデータが生成されることで、新たなデータに基づいてダミーデータが生成されるよりも、不正ユーザにダミーデータが提供されていることをより悟られないようにすることができる。
【００５５】
また、ダミーデータ生成部３０９は必ずしもダミーデータを生成する必要はなく、例えば、ダミーデータ記憶部３０５は、ホスト装置２００からダミーデータを受信し予め記憶するようにしても良い。
【００５６】
また、上記生成方法では、スナップショットの手法を用いてデータ記憶部３０４、３０５を複製してダミーデータを生成しているが、複製方法はスナップショットに限定されない。
【００５７】
また、正当ユーザによる認証が失敗した場合、正当ユーザがダミーデータを提供されていると認識できるようにするために、情報記憶装置１００はアクセス制限データの提供とダミーデータとの提供において次のような差異を設けても良い。例えば、アクセス制限データはユーザがカスタマイズした画像及び音などに基づいて提供し、ダミーデータはデフォルトの画像及び音などに基づいて提供する。また、マウスポインタ及びアイコンなどの設定、認証画面の設定などを異なるように設定しても良い。また、アクセス制限データのプロパティには正当ユーザが設定した名前が登録され、ダミーデータのプロパティには任意の名前が登録されるように設定しても良い。
【００５８】
（４−８）データ切替部
データ切替部３１０は、送受信部３０１からデータ記憶部３０４、３０５に対する各種コマンドを受信すると、認証結果記憶部３０３及びデータ切替テーブル３０７を参照してアクセス制限データへのアクセスか又はダミーデータへのアクセスかを切り替える。
【００５９】
具体的に、データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＯＫ”である場合には、コマンドに応じてアクセス制限データ記憶部３０４においてアクセス制限データを読み出し又は書き込みなどする。また、データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＮＧ”であり、データ切替テーブル３０７を参照してダミーデータへの切替が“無効”であると判断したとする。この場合には、データ切替部３１０は、アクセス制限データ記憶部３０４においてアクセス制限データを読み出し又は書き込みなどする。
【００６０】
また、データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＮＧ”であり、かつデータ切替テーブル３０７を参照してダミーデータへの切替が“有効”であると判断したとする。この場合には、データ切替部３１０は、アクセス制限データ記憶部３０４へのアクセスを禁止し、代わりにダミーデータ記憶部３０５においてダミーデータを読み出し又は書き込みなどする。このとき、データ切替部３１０は、アクセス制限データ記憶部３０４へのアクセス先のアドレスを、ダミーデータ記憶部３０５内のアドレスに変換してダミーデータにアクセスする。例えば、ダミーデータ領域１００ｂのアドレス空間Ｘ１ａ〜Ｘ１ｆのアドレスと、アクセス制限領域１００ａのアドレス空間Ｙ１〜Ｙ２のアドレスと、１：１で対応付けられている場合には、データ切替部３１０は次のようにアクセスする。例えば、ホスト装置２００からアクセス制限領域１００ａの所定のアドレスＺにアクセスがあったとする。データ切替部３１０は、認証が成功している場合にはアクセス制限領域１００ａのアドレス空間Ｙ１〜Ｙ２のうち、所定のアドレスＺにアクセスする。一方、認証が失敗している場合には、データ切替部３１０は、ダミーデータ領域１００ｂのアドレス空間Ｘ１ａ〜Ｘ１ｆのうち、所定のアドレスＺに対応するアドレスＺ’に切り替えてアクセスする。なお、ダミーデータへのアクセスが可能な構成であれば良く、アドレスの対応付け方法は限定されない。例えば、データ切替部３１０は、アクセス制限領域１００ａの所定のアドレスへのアクセスがあると、例えばダミーデータ領域１００ｂの任意のアドレスに基づいてダミーデータにアクセスしても良い。
【００６１】
また、認証結果が“ＮＧ”でデータ記憶部３０４、３０５へのアクセスがあり、ダミーデータへの切替が“有効”である場合には、データ切替部３１０は、ダミーデータ生成部３０９にダミーデータを生成するように指示する。
【００６２】
また、データ切替部３１０は、認証結果が“ＮＧ”でダミーデータ記憶部３０５にアクセスを切り替えた場合には、ダミーデータ記憶部３０５へのアクセス先を示すアドレスをアクセスカウント部３１１に出力する。
【００６３】
（４−９）アクセスカウント部、カウント結果記憶部
アクセスカウント部３１１は、ダミーデータ記憶部３０５へのアクセス先をデータ切替部３１０から受信すると、カウント条件テーブル３０８を参照してアクセス状況を取得する。具体的には、アクセスカウント部３１１は、ダミーデータ記憶部３０５へのアクセス先のアドレスがカウント領域に含まれる場合には、アクセス状況を取得する。例えば、アクセスカウント部３１１は、アクセス先のアドレスが開始アドレスＸ１ａ〜終了アドレスＸ１ｂのカウント領域Ａ内に含まれている場合にはアクセス状況を取得する。
【００６４】
図８はカウント結果記憶部の一例である。アクセスカウント部３１１は、取得したアクセス状況をカウント結果記憶部３１２に出力し記憶させる。カウント結果記憶部３１２は、図８に示すように、例えばアクセス回数、アクセスされたカウント領域、アクセス時刻及びアクセス時間などのアクセス状況を記憶する。
【００６５】
さらに、アクセスカウント部３１１は、カウント結果記憶部３１２及びカウント条件テーブル３０８を参照して、無効化部３１３にアクセス制限データの無効化を指示する。例えば、アクセスカウント部３１１は、カウント結果記憶部３１２のアクセス回数が、図６Ｂのカウント条件テーブル３０８のアクセス回数の閾値以上になると、設定された無効化方法によるアクセス制限データの無効化を無効化部３１３に指示する。このとき、アクセスカウント部３１１は、アクセス状況が閾値以上になると、無効化ｆｌａｇを１に設定する（無効化ｆｌａｇ＝１）。
【００６６】
また、カウント結果記憶部３１２内のデータは、情報記憶装置１００の電源がＯＦＦされるなどして各種処理が終了した後も保持される。しかし、アクセスカウント部３１１は、次の起動時に認証処理部３０２での認証結果が“ＯＫ”の場合には、カウント結果記憶部３１２内のデータをリセットしても良い。
【００６７】
（４−１０）無効化部
無効化部３１３は、アクセスカウント部３１１からの指示に基づいてアクセス制限データを無効化する。例えば、図６Ｂの場合、無効化部３１３は、アクセス制限データを削除することにより、アクセス制限データを無効化する。無効化部３１３は、無効化が完了すると無効化ｆｌａｇを０に設定する（無効化ｆｌａｇ＝０）。
【００６８】
（５）処理の流れ
（５−１）全体処理
図９は、第１実施形態例にかかる情報記憶装置が実行する全体処理の流れの一例を示すフローチャートである。
【００６９】
ステップＳ１、Ｓ２：送受信部３０１は、ホスト装置２００からのコマンドを待機している（Ｓ１）。送受信部３０１がコマンドを受信するとステップＳ２に進み、そのコマンドが電源をＯＦＦする旨のコマンドであると、認証結果記憶部３０３の認証結果をリセットするなどして処理を終了する（Ｓ２）。
【００７０】
ステップＳ３：認証処理部３０２は、認証結果記憶部３０３に認証結果が記憶されているか否かを判定する。認証結果が記憶されている場合は、ステップＳ５に進む。
【００７１】
ステップＳ４：認証結果記憶部３０３に認証結果が記憶されていない場合は、認証処理部３０２は後述の認証処理を行う。
【００７２】
ステップＳ５：認証結果記憶部３０３内の認証結果が“ＮＧ”の場合にはステップＳ６に進み、認証結果が“ＯＫ”の場合にはステップＳ１２に進む。
【００７３】
ステップＳ６、Ｓ７：登録部３０６は、認証結果が“ＮＧ”の場合には（Ｓ５）、ホスト装置２００からのコマンドが登録コマンドであっても（Ｓ６）、登録処理を行わない（Ｓ７）。
【００７４】
ステップＳ８：データ切替部３１０は、リードコマンド及びライトコマンド（Ｒ／Ｗコマンド）などデータ記憶部３０４、３０５に対するコマンドを受信すると、ステップＳ９に進む。
【００７５】
ステップＳ９：データ切替部３１０は、認証結果が“ＮＧ”であり（Ｓ５）、かつデータ切替テーブル３０７を参照してダミーデータへの切替が“有効”であると判断した場合には、ステップＳ１０に進む。認証結果が“ＮＧ”であっても、データ切替テーブル３０７においてダミーデータへの切替が“無効”である場合は、ステップＳ１６に進む。
【００７６】
ステップＳ１０：データ切替部３１０及びダミーデータ生成部３０９は、後述のダミーデータへの切替処理を実行する。
【００７７】
ステップＳ１１：無効化部３１３は、アクセス状況に応じてアクセス制限データの無効化処理を行う。
【００７８】
ステップＳ１２：アクセスカウント部３１１は、認証結果が“ＯＫ”の場合には（Ｓ５）、カウント結果記憶部３１２内のデータをリセットし、無効化ｆｌａｇを０に設定する（無効化ｆｌａｇ＝０）。
【００７９】
ステップＳ１３、Ｓ１４：登録部３０６は、認証結果が“ＯＫ”の場合に（Ｓ５）、登録コマンドを受信すると（Ｓ１３）、データ切替テーブル３０７及びカウント条件テーブル３０８などに登録処理を行う（Ｓ１４）。
【００８０】
ステップＳ１５：送受信部３０１がリードコマンド及びライトコマンドなどを受信すると、ステップＳ１６に進む。
【００８１】
ステップＳ１６：データ切替部３１０は、認証結果が“ＯＫ”である場合において（Ｓ５）、送受信部３０１からリードコマンド及びライトコマンドを受信する。データ切替部３１０は、コマンドに応じてアクセス制限データ記憶部３０４にアクセスし、アクセス制限データを読み出し又は書き込みなどする。
【００８２】
（５−２）認証処理
図１０は、第１実施形態例にかかる認証処理の流れの一例を示すフローチャートである。
【００８３】
ステップＳ４ａ、４ｂ：認証処理部３０２は、認証コマンドを受信すると（Ｓ４ａ）、ユーザが入力したパスワードと、認証パスワードと、を比較し、ホスト装置２００からのアクセスを認証するか否かを判定する（Ｓ４ｂ）。認証コマンドは、ホスト装置２００においてユーザが入力したパスワードを含む。ユーザが入力したパスワードと、認証パスワードと、が一致する場合は、ステップＳ４ｃに進む。一致しない場合はステップＳ４ｅに進む。
【００８４】
ステップＳ４ｃ：認証処理部３０２は、ユーザが入力したパスワードと、認証パスワードと、が一致する場合は、ホスト装置２００からのアクセスを認証する。
【００８５】
ステップＳ４ｄ、４ｅ：認証処理部３０２は、認証コマンド以外のリードコマンド及びライトコマンドを受信すると（Ｓ４ｄ）、ホスト装置２００からのアクセスを認証しない（４ｅ）。認証処理部３０２は、ユーザが入力したパスワードと、認証パスワードと、が一致しない場合も、ホスト装置２００からのアクセスを認証しない（Ｓ４ｅ）。
【００８６】
ステップＳ４ｆ：認証処理部３０２は、認証結果を認証結果記憶部３０３に記録する。認証結果記憶部３０３は、例えば電源ＯＦＦされるまで認証結果を保持する。
【００８７】
（５−３）ダミーデータへの切替処理
図１１は、第１実施形態例にかかるダミーデータへの切替処理の流れの一例を示すフローチャートである。
【００８８】
ステップＳ１０ａ：ダミーデータへの切替を行う場合には、データ切替部３１０は、ダミーデータ生成部３０９にダミーデータを生成するように指示する。ダミーデータ生成部３０９は、前記ダミーデータ生成の指示を受信すると、まずデータ切替テーブル３０７からダミーデータ生成方法及びダミーデータ領域の指定などを取得する。
【００８９】
ステップＳ１０ｂ：次に、ダミーデータ生成部３０９は、ダミーデータ生成方法に基づいてダミーデータを生成し、指定されたダミーデータ領域に基づいてダミーデータ記憶部３０５にダミーデータを格納する。
【００９０】
ステップＳ１０ｃ：データ切替部３１０は、ダミーデータ記憶部３０５にアクセスし、コマンドに応じてダミーデータを読み出し又は書き込みなどする。
【００９１】
（５−４）アクセス制限データの無効化処理
図１２は、第１実施形態例にかかるアクセス制限データの無効化処理の流れの一例を示すフローチャートである。
【００９２】
ステップＳ１１ａ：無効化ｆｌａｇが１の場合は、アクセス制限データの無効化の途中であるので、ステップＳ１１ｆに進み、無効化部３１３は無効化を続行する。無効化ｆｌａｇが０の場合は、ステップＳ１１ｂに進む。
【００９３】
ステップＳ１１ｂ：アクセスカウント部３１１は、ダミーデータ記憶部３０５へのアクセス先をデータ切替部３１０から受信し、カウント条件テーブル３０８を参照してアクセス先がカウント領域に含まれるか否かを判定する。アクセス先がカウント領域に含まれる場合はステップＳ１１ｃに進み、そうでない場合は終了する。
【００９４】
ステップＳ１１ｃ：アクセスカウント部３１１は、アクセス先がカウント領域に含まれる場合は、例えばアクセス回数をカウントアップし、カウント結果記憶部３１２に記録する。
【００９５】
ステップＳ１１ｄ、Ｓ１１ｅ：アクセスカウント部３１１は、例えばカウント結果記憶部３１２のアクセス回数が閾値以上になると、無効化ｆｌａｇを１に設定する。さらに、アクセスカウント部３１１は、カウント条件テーブル３０８に設定された無効化方法によるアクセス制限データの無効化を無効化部３１３に指示する。一方、例えばアクセス回数が閾値より小さい場合は処理を終了する。
【００９６】
ステップＳ１１ｆ、１１ｇ：無効化部３１３は、設定された無効化方法に従ってアクセス制限データの無効化を行う。無効化部３１３は、無効化が完了すればステップＳ１１ｈに進み、無効化が完了していない場合ステップＳ１１ｆに戻り無効化を継続する。
【００９７】
ステップＳ１１ｈ：無効化部３１３は、無効化が完了すると無効化ｆｌａｇを０に設定する（無効化ｆｌａｇ＝０）。
【００９８】
（６）ＡＴＡ規格に基づいたカウント領域の設定例
情報記憶装置１００とホスト装置２００との間でＡＴＡ規格の中にあるＴＣＧ（Trusted Computing Group）storage準拠仕様に基づく通信が行われる場合には、例えば以下のように各種設定が行われる。
【００９９】
ホスト装置２００は、情報記憶装置１００内のデータ切替テーブル３０７及びカウント条件テーブル３０８を設定するためのアプリケーションを読み込み、ＣＰＵ２０１により実行する。ホスト装置２００は、データ切替テーブル３０７及びカウント条件テーブル３０８を設定するための画面をディスプレイ２０８に表示する。例えばカウント条件テーブル３０８を設定するための画面は図１３のように示される。
【０１００】
図１３は、ホスト装置のディスプレイに表示される、カウント条件テーブルを設定するための画面例である。図１３の画面例では、カウント領域とアクセス制限データの無効化方法とを設定するようにユーザに指示している。これに対して、ユーザは、 “My picture”及び“My Video”のファイルをカウント領域として指定し、２回のアクセスで暗号鍵を消去してアクセス制限データを無効化することを指定している。
【０１０１】
ホスト装置２００のＣＰＵ２０１は、アプリケーションの実行により、ユーザの設定に基づいた登録コマンドを生成し、情報記憶装置１００に出力する。図１４は、カウント領域及び無効化方法を設定するための登録コマンドに含まれる情報の一例である。ホスト装置２００のＣＰＵ２０１は、カウント領域として指定されたファイルに基づいて、情報記憶装置１００内のＬＢＡ（Logical Block Addressing）アドレスを算出する。図１４に示す登録コマンドには、図１３の画面例に基づいて、設定番号ごとの、ＬＢＡアドレスのｓｔａｒｔ、ｅｎｄ、アクセス回数及び無効化方法などの情報が含まれる。その他、ホスト装置２００は、ダミーデータへの切替、ダミーデータの生成方法及びダミーデータ領域などの指定について登録コマンドを生成し、情報記憶装置１００へ送信する。
【０１０２】
図１５はデータ切替テーブル及びカウント条件テーブルの設定処理の流れの一例を示すフローチャートである。ホスト装置２００は、ユーザからデータ切替テーブル３０７及びカウント条件テーブル３０８の各種設定を受け付ける。次に、ホスト装置２００は受け付けた設定に基づいて、登録コマンドを生成して情報記憶装置１００とセッションを開始する。例えば、１番目のセッションでは、ホスト装置２００は、設定するテーブルのtable ID、テーブルへのアクセス権があるＩＤとパスワード、セッションＩＤであるＩＤ１を含むstartsessionを情報記憶装置１００に送信する。次に、情報記憶装置１００は、ホスト装置２００からstartsessionを受信したのに応答して、セッションＩＤであるＩＤ２を含むsyncsessionをホスト装置２００へ送信する。さらに、ホスト装置２００は、カウント領域及び無効化方法などを設定するためのコマンドを情報記憶装置１００に送信する。このコマンドにより、テーブル中のどこに何を設定するかが指定される。例えば、コマンドには、各設定を識別するRange_setting ID、Setなど処理すべき命令、列１など書き込む場所の指定、アクセス回数など書き込むべき内容及びセッションＩＤなどが含まれる。
【０１０３】
図１６は、データ切替テーブル及びカウント条件テーブルの一例である。ホスト装置２００と情報記憶装置１００との間で、データ切替テーブル３０７及びカウント条件テーブル３０８を設定するための処理が完了すると、例えば図１６に示すテーブルが生成される。
【０１０４】
（７）変形例
（ａ）変形例１
上記実施形態例では、ダミーデータ領域１００ｂにカウント領域及び非カウント領域を設けている。しかし、図１７に示すように、アクセス制限領域１００ａにカウント領域及び非カウント領域を設けても良い。
【０１０５】
図１７は、本変形例にかかる情報記憶装置の記憶領域を示す説明図である。この場合、例えば次のような処理が行われる。なお、カウント条件テーブル３０８では、登録コマンドに基づいて、アクセス制限領域１００ａ内に、開始アドレス及び終了アドレスによりカウント領域Ａ〜Ｃが設定されているものとする。例えば、カウント領域Ａの開始アドレスは“Ｙ１ａ”であり終了アドレスは“Ｙ１ｂ”である。
【０１０６】
データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＮＧ”であり、かつデータ切替テーブル３０７を参照してダミーデータへの切替が“有効”であると判断したとする。この場合には、データ切替部３１０は、アクセス制限データ記憶部３０４へのアクセスを禁止し、代わりにダミーデータ記憶部３０５においてダミーデータを読み出し又は書き込みなどする。ダミーデータ切替部３１０は、ホスト装置２００からアクセスがあったアクセス制限領域１００ａのアドレスをアクセスカウント部３１１に出力する。アクセスカウント部３１１は、このアクセス制限領域１００ａのアドレスが、カウント条件テーブル３０８に設定されたカウント領域に含まれる場合にはアクセス状況を取得する。その後の処理は上記と同様であり、アクセス制限領域１００ａ内のカウント領域へのアクセス回数等が所定の閾値に達すると無効化部３１３によりアクセス制限データの無効化が行われる。
【０１０７】
（ｂ）変形例２
上記では、情報記憶装置１００は、認証結果記憶部３０３の認証結果及びデータ切替テーブル３０７に基づいてアクセス制限データ又はダミーデータの切替を行っている。しかし、情報記憶装置１００は、認証結果記憶部３０３の認証結果のみを参照してアクセス制限データ又はダミーデータの切替を行っても良い。このとき、データ切替部３１０は、認証結果記憶部３０３のみを参照し、認証が成功している場合には、アクセス制限データ記憶部３０４においてアクセス制限データを読み出し又は書き込みなどする。一方、データ切替部３１０は、認証が失敗している場合には、アクセス制限データ記憶部３０４へのアクセスを禁止し、代わりにダミーデータ記憶部３０５においてダミーデータを読み出し又は書き込みなどする。さらに、データ切替部３１０は、認証が失敗している場合には、ダミーデータ生成部３０９にダミーデータの生成を指示する。
【０１０８】
これにより、情報記憶装置１００は、データ切替テーブル３０７において、ダミーデータへの切替処理の有効又は無効を設定する必要はない。
【０１０９】
（８）作用効果
情報記憶装置１００は、認証が成功している場合にはホスト装置２００から記憶部へのアクセスを許可する。よって、ホスト装置２００は、アクセスが制限されたアクセス制限領域１００ａにアクセスが可能である。しかし、情報記憶装置１００は認証が失敗している場合は、ダミーデータが記憶されたダミーデータ領域１００ｂへのアクセスに切り替える。よって、まず、認証されていないホスト装置２００がアクセス制限領域１００ａにアクセスするのを阻止することができる。
【０１１０】
また、認証が失敗している場合でも、ホスト装置２００は記憶部へのアクセスが拒否される訳ではなく、ダミーデータ領域１００ｂへのアクセスが可能である。そのため、ホスト装置２００のユーザは認証が失敗しているという印象を受けない。そのため、情報記憶装置１００は、認証されていないホスト装置２００からのアクセスを、アクセスを拒否するための所定の閾値まで誘引し、無効化部３１３によるアクセス制限データの無効化を実行可能とする。これにより、漏洩、改ざん、情報記憶装置１００の破壊による搾取などの不正アクセスからアクセス制限データを保護することができる。
【０１１１】
情報記憶装置１００は、認証されていないホスト装置２００からのアクセスの場合、カウント領域のみについてアクセス状況を取得し、このアクセス状況が所定の閾値に達するとアクセス制限データを無効化する。情報記憶装置１００によりアクセスが認証されるはずの正当ユーザであっても、認証に必要なパスワードの入力間違いなどにより認証が失敗する場合がある。前記構成であれば、正当ユーザによる認証が失敗しても、記憶部の全ての領域についてアクセス状況を取得する場合に比べて、アクセス制限データを無効化するまでのマージンを大きくすることができる。より具体例を挙げて次に説明する。
【０１１２】
正当ユーザであってもパスワードの入力間違いなどにより認証が失敗すると、ホスト装置２００からアクセス制限領域１００ａのアクセス制限データにアクセスしても、情報記憶装置１００はダミーデータ領域１００ｂにアクセスしてホスト装置２００にダミーデータを提供する。正当ユーザであれば、アクセス制限データの代わりにダミーデータが提供されていることに基づいて、認証が失敗していることを把握することができる。そのため、正当ユーザは認証が失敗している状態でアクセスを繰り返すことは無い。例え、ホスト装置２００がアクセスした場所がカウント領域であってアクセス回数がカウントされても、アクセス回数が所定の閾値に達する可能性は低い。また、ホスト装置２００がアクセスした場所が非カウント領域であればアクセス回数はカウントされない。つまり、認証が失敗している場合において、全ての領域へのアクセス状況を計測する場合よりも、所定のカウント領域へのアクセス状況のみを計測する場合の方が、所定の閾値に達するまでのマージンを大きくできる。言い換えれば、計測対象としない非カウント領域を設けることで、全てをカウント領域に設定する場合に比べて、アクセス制限データを無効化するまでのマージンを大きくすることができる。よって、正当ユーザによる認証が失敗した場合に、アクセス制限データが無効化されてしまい、正当ユーザがアクセス制限データにアクセスできなくなるなどの悪影響を抑制し、正当ユーザの利便性を向上することができる。
【０１１３】
一方、認証されていないホスト装置２００が行う不正アクセスは、一般的に記憶領域の全領域に対して複数回に亘って行われる。カウント領域へのアクセスも複数回に亘るため、カウント領域のアクセス回数が所定の閾値に達する。これにより、無効化部３１３によりアクセス制限データの無効化を有効に実行させることができる。
【０１１４】
＜第２実施形態例＞
（１）概要
第２実施形態例では、カウント領域の設定方法が第１実施形態例と異なる。第１実施形態例では、カウント領域の設定は、認証が成功している正当ユーザからの指定に基づいて行われる。一方、第２実施形態例では、認証が成功している場合において、情報記憶装置１００が、ホスト装置からのアクセス状況を取得し、そのアクセス状況に基づいてカウント領域を設定する。それ以外の点については第１実施形態例と同様であるので説明を省略する。
【０１１５】
（２）機能構成
図１８は第２実施形態例に係る情報記憶装置の機能構成を示すブロック図の一例である。第１実施形態例と異なるのはカウント領域決定部３１４及びアクセス状況記憶部３１５を備える点である。
【０１１６】
カウント領域決定部３１４は、認証結果記憶部３０３の認証結果が“ＯＫ”であり、データ記憶部３０４、３０５にアクセスがあると、アクセス先ごとのアクセス状況を取得する。つまり、カウント領域決定部３１４は、正当ユーザによるアクセス状況を取得する。カウント領域決定部３１４は、取得したアクセス状況をアクセス状況記憶部３１５に格納する。
【０１１７】
図１９は、アクセス状況記憶部の一例である。アクセス状況記憶部３１５は、アクセス先ごとに、アクセス回数及びアクセス時間などのアクセス状況を記憶している。カウント領域決定部３１４は、アクセス状況記憶部３１５のアクセス状況に基づいてカウント領域を決定する。例えば、カウント領域決定部３１４は、アクセス回数及び／又はアクセス時間が少ないアクセス先をカウント領域として決定する。カウント領域決定部３１４は、第１実施形態例の図９に示すステップＳ１３、Ｓ１４において、決定されたカウント領域をカウント条件テーブル３０８に出力し、登録させる。以下に、ダミーデータ領域にカウント領域を設定する場合と、アクセス制限領域にカウント領域を設定する場合と、について説明する。
【０１１８】
（２−１）ダミーデータ領域にカウント領域を設定する場合
ダミーデータ領域１００ｂにカウント領域を設定する場合には、カウント領域決定部３１４は次の処理を行う。
【０１１９】
カウント領域決定部３１４は、送受信部３０１からアクセス制限領域１００ａへのリードコマンド及びライトコマンドを受信している。認証結果記憶部３０３の認証結果が“ＯＫ”の場合においてコマンドを受信すると、コマンドに含まれるアクセス先ごとにアクセス状況を取得する。アクセス状況記憶部３１５は、アクセス状況を記憶している。カウント領域決定部３１４は、例えば図１９に示すように、アクセス回数に基づいてアクセス先をランク付けしており、アクセス回数が少ないアクセス先を選択する。また、カウント領域決定部３１４は、選択されたアクセス先のアドレスがアクセス制限領域１００ａ内のアドレスであるため、選択されたアクセス先のアドレスをダミーデータ領域１００ｂ内のアドレスに変換する。カウント領域決定部３１４は、変換されたアドレスが示す領域をカウント領域に決定する。カウント領域決定部３１４は、決定されたカウント領域をカウント条件テーブル３０８に出力し、登録させる。
【０１２０】
その他、カウント領域決定部３１４は、アクセス回数及び／又はアクセス時間が所定値以下のアクセス先に基づいてカウント領域を決定しても良い。
【０１２１】
なお、カウント領域決定部３１４は、送受信部３０１から受信したコマンドに基づいてアクセス状況を取得するのではなく、データ切替部３１０がアクセスしたアクセス先ごとにアクセス状況を取得しても良い。
【０１２２】
（２−２）アクセス制限領域にカウント領域を設定する場合
前述において、カウント領域決定部３１４は、図１９に基づいてアクセス回数が少ないアクセス先を選択している。ここで、選択されたアクセス先のアドレスは、アクセス制限領域１００ａ内のアドレスである。よって、アクセス制限領域１００ａにカウント領域を設定する場合には、カウント領域決定部３１４は、選択したアクセス先のアドレスをそのままカウント領域に決定する。カウント条件テーブル３０８が前記アクセス先のアドレスを登録することで、アクセス制限領域１００ａ内にカウント領域を設定可能である。
【０１２３】
（３）作用効果
第１実施形態例では正当ユーザからの指定に基づいてカウント領域が設定されるが、本実施形態例ではカウント領域決定部３１４がカウント領域を決定するため、ユーザがカウント領域を指定する手間を省くことができる。また、正当ユーザによる実際のアクセス状況に基づいてカウント領域が設定されるため、ユーザによる設定に比べて、アクセスがより少ない領域をカウント領域として正確に設定することができる。
【０１２４】
また、カウント領域決定部３１４は、アクセス回数及び／又はアクセス時間が少ないアクセス先や、所定値以下のアクセス先をカウント領域に決定する。よって、ホスト装置２００からのアクセスが少ない領域、あるいはホスト装置からのアクセスが無い領域を、カウント領域として正確に設定することができる。
【０１２５】
その他の作用効果は第１実施形態例と同様である。
【０１２６】
なお、アクセス状況は常に変化するものであるので、カウント領域決定部３１４は、アクセス状況の変化に応じてカウント領域を随時に変更しても良い。これにより、アクセス状況に応じたカウント領域の設定が可能となる。例えば、カウント領域決定部３１４は、アクセス先のアクセス状況を常に取得し、アクセス先が多い順などで随時ランク付けを行う。そして、カウント領域決定部３１４は、既にカウント条件テーブル３０８に登録されているカウント領域であっても、ランキングが上位になった場合には削除するなどする。また、カウント領域決定部３１４は、アクセス回数等が所定値を超えたりしたカウント領域を削除する。
【０１２７】
＜第３実施形態例＞
（１）概要
第１実施形態例の情報記憶装置１００は、起動時に認証処理を行い、その後ホスト装置２００からコマンドを受信する度に認証結果記憶部３０３の認証結果を参照し、認証結果に応じてアクセス先を切り替える。一方、第３実施形態例の情報記憶装置１００は、起動後に一度のみ認証結果記憶部３０３の認証結果を参照する。その後、情報記憶装置１００は、電源がオフされるまでの間にホスト装置２００から複数回に亘ってコマンドを受信しても毎回認証結果を参照せず、一度参照した認証結果に基づいてアクセス先を切り替える。以下に、第１実施形態例と異なる点のみ説明する。また、第３実施形態例においても、第２実施形態例と同様の構成を取り込むことが可能である。
【０１２８】
（２）機能構成
図２０は第３実施形態例に係る情報記憶装置の機能構成を示すブロック図の一例である。情報記憶装置１００は、第１実施形態例の機能構成に加えて、第１処理部３１６及び第２処理部３１７を備えている。以下では第１実施形態例と異なる点についてのみ説明する。
【０１２９】
（２−１）送受信部
送受信部３０１は、ホスト装置２００から入力される各種コマンドを受信し、各機能部に送信する。例えば、送受信部３０１は、認証コマンドをホスト装置２００から受信し、認証処理部３０２に出力する。また、送受信部３０１は、ホスト装置２００からのリードコマンド及びライトコマンドなどの各種コマンドを第１処理部３１６又は第２処理部３１７のいずれかに出力する。さらに、送受信部３０１は、第１処理部３１６又は第２処理部３１７からのデータをホスト装置２００に出力する。
【０１３０】
（２−２）第１処理部、第２処理部
第１処理部３１６は、認証が成功している場合に起動され、送受信部３０１を介してホスト装置２００から各種コマンドを受信する。第１処理部３１６は、受信したコマンドに応じてアクセス制限データ記憶部３０４にアクセスする。例えば、第１処理部３１６は、コマンドに含まれるアクセス制限データ記憶部３０４へのアクセス先のアドレスに基づいて、該当するアクセス制限データにアクセスする。また、第１処理部３１６は、登録コマンドを受信すると登録部３０６に出力する。
【０１３１】
一方、第２処理部３１７は認証が失敗している場合に起動され、送受信部３０１を介してホスト装置２００から各種コマンドを受信する。第２処理部３１７は、受信したコマンドに応じてダミーデータ記憶部３０５にアクセスする。このとき、第２処理部３１７は、コマンドに含まれるアクセス制限データ記憶部３０４へのアクセス先のアドレスを、ダミーデータ記憶部３０５内のアドレスに変換してダミーデータにアクセスする。その他、第２処理部３１７は、ダミーデータ生成部３０９にダミーデータを生成するように指示し、またダミーデータ記憶部３０５へのアクセス先を示すアドレスをアクセスカウント部３１１に出力する。
【０１３２】
なお、第２処理部３１７は、ダミーデータへの切替が“有効”か“無効”かに応じてダミーデータ記憶部３０５あるいはアクセス制限データ記憶部３０４にアクセスするようにしても良い。つまり、第２処理部３１７は、認証が失敗しており、かつデータ切替テーブル３０７においてダミーデータへの切替が“有効”である場合には、ダミーデータ記憶部３０５にアクセスする。また、第２処理部３１７は、ダミーデータ生成部３０９及びアクセスカウント部３１１に指示を出力する。一方、第２処理部３１７は、認証が失敗しており、かつデータ切替テーブル３０７においてダミーデータへの切替が“無効”である場合には、アクセス制限データ記憶部３０４にアクセスする。このとき、第２処理部３１７は、ダミーデータ生成部３０９及びアクセスカウント部３１１に指示を出力する必要はない。
【０１３３】
上記構成によれば、認証が成功し第１処理部３１６が一旦起動されると、情報記憶装置１００の起動が停止するまで、その後のホスト装置２００とのコマンド及びデータのやりとりは第１処理部３１６を介して行われる。逆に、認証が失敗し第２処理部３１７が一旦起動されると、その後のホスト装置２００とのコマンド及びデータのやりとりは第２処理部３１７を介して行われる。つまり、認証結果に応じて第１処理部３１６又は第２処理部３１７のいずれかのみが起動されて、その後の処理は認証結果に応じたいずれかの処理部のみを介して行われる。よって、情報記憶装置１００は、ホスト装置２００からコマンド等を受信する度に認証結果記憶部３０３を参照する必要がない。そのため、ホスト装置２００からのアクセスに伴うアクセス処理に要する時間を全体として抑制することができる。
【０１３４】
（２−３）データ切替部
データ切替部３１０は、認証結果記憶部３０３を参照して、第１処理部３１６又は第２処理部３１７のいずれかを起動する。具体的に、データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＯＫ”である場合には、第１処理部３１６を起動する。一方、データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＮＧ”である場合には、第２処理部３１７を起動する。
【０１３５】
（２−４）登録部
登録部３０６は、第１処理部３１６から登録コマンドを受信すると、登録コマンドに含まれるファームウェアの書き換え要求を受け付け、登録コマンドに基づいて、データ切替テーブル３０７及びカウント条件テーブル３０８などに各種条件の登録処理を行う。
【０１３６】
（２−５）ダミーデータ生成部
ダミーデータ生成部３０９は、第２処理部３１７からダミーデータ生成の指示を受信すると、ダミーデータを生成する。
【０１３７】
（２−６）アクセスカウント部、カウント結果記憶部
アクセスカウント部３１１は、ダミーデータ記憶部３０５へのアクセス先を第２処理部３１７から受信すると、カウント条件テーブル３０８を参照してアクセス状況を取得する。具体的には、アクセスカウント部３１１は、ダミーデータ記憶部３０５へのアクセス先のアドレスがカウント領域に含まれる場合には、アクセス状況を取得する。
【０１３８】
（３）処理の流れ
情報記憶装置１００が一旦認証結果を参照すると、情報記憶装置１００が再度起動するまで認証結果を参照しない点を除いて第１実施形態例の処理の流れと同様である。よって、以下に簡単に処理の流れを説明する。
【０１３９】
（３−１）全体処理
図２１は、第３実施形態例にかかる情報記憶装置が実行する全体処理の流れの一例を示すフローチャートである。
【０１４０】
ステップＳ１〜Ｓ４：情報処理装置１００は、第１実施形態例と同様に認証結果の有無に応じて認証処理を行う。
【０１４１】
ステップＳ５：データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＯＫ”か“ＮＧ”であるかを判断する。
【０１４２】
ステップＳ５α：データ切替部３１０は、認証結果が“ＮＧ”である場合には、第２処理部３１７を起動する。
【０１４３】
ステップＳ５β：第２処理部３１７は、ホスト装置２００からのコマンドを待機している。
【０１４４】
ステップＳ６、Ｓ７：認証結果が“ＮＧ”の場合、第２処理部３１７が登録コマンドを受信しても（Ｓ６）、登録部３０６は登録処理を行わない（Ｓ７）。
【０１４５】
ステップＳ８：第２処理部３１７は、リードコマンド及びライトコマンド（Ｒ／Ｗコマンド）などデータ記憶部３０４、３０５に対するコマンドを受信すると、ステップＳ９に進む。
【０１４６】
ステップＳ９：第２処理部３１７は、データ切替テーブル３０７を参照してダミーデータへの切替が“有効”であると判断した場合には、ステップＳ１０に進む。認証結果が“ＮＧ”であっても、データ切替テーブル３０７においてダミーデータへの切替が“無効”である場合は、ステップＳ１６に進む。
【０１４７】
ステップＳ１０：第２処理部３１７及びダミーデータ生成部３０９は、後述のダミーデータへの切替処理を実行する。
【０１４８】
ステップＳ１１：無効化部３１３は、アクセス状況に応じてアクセス制限データの無効化処理を行う。
【０１４９】
ステップＳ１１α：第２処理部３１７は、電源をＯＦＦする旨のコマンドを受信すると処理を終了する。
【０１５０】
ステップＳ１２：アクセスカウント部３１１は、認証結果が“ＯＫ”の場合には（Ｓ５）、カウント結果記憶部３１２内のデータをリセットし、無効化ｆｌａｇを０に設定する（無効化ｆｌａｇ＝０）。
【０１５１】
ステップＳ１２α：データ切替部３１０は、認証結果が“ＯＫ”である場合には、第１処理部３１６を起動する。
【０１５２】
ステップＳ１２β：第１処理部３１６は、ホスト装置２００からのコマンドを待機している。
【０１５３】
ステップＳ１３、Ｓ１４：認証結果が“ＯＫ”の場合、第１処理部３１６が登録コマンドを受信すると（Ｓ１３）、登録部３０６はデータ切替テーブル３０７及びカウント条件テーブル３０８などに登録処理を行う（Ｓ１４）。
【０１５４】
ステップＳ１５：第１処理部３１６がリードコマンド及びライトコマンドなどを受信すると、ステップＳ１６に進む。
【０１５５】
ステップＳ１６：第１処理部３１６は、ステップＳ１５で受信したコマンドに応じてアクセス制限データ記憶部３０４にアクセスし、アクセス制限データを読み出し又は書き込みなどする。あるいは、第２処理部３１７は、ダミーデータへの切替が“無効”である場合は（Ｓ９）、コマンドに応じてアクセス制限データ記憶部３０４にアクセスする。
【０１５６】
ステップＳ１６α：第１処理部３１６は、電源をＯＦＦする旨のコマンドを受信すると処理を終了する。
【０１５７】
（３−２）その他の各処理
認証処理（Ｓ４）及びアクセス制限データの無効化処理（Ｓ１１）については上記第１実施形態例と同様である。また、ダミーデータへの切替処理（Ｓ１０）については、ダミーデータの生成指示及びダミーデータ記憶部３０５へのアクセスの主体が第２処理部３１７である点を除いて第１実施形態例と同様である。
【０１５８】
（４）作用効果
認証の成功又は失敗に応じて、それぞれ第１処理部３１６及び第２処理部３１７のいずれかを起動し、その後情報記憶装置１００の起動が停止するまで、起動された処理部がホスト装置２００とコマンド及びデータなどの送受信を行う。よって、情報記憶装置１００は、ホスト装置２００からコマンド等を受信する度に認証結果記憶部３０３を参照する必要がなく、ホスト装置からのアクセスに伴うアクセス処理に要する時間を全体として抑制することができる。  なお、アクセス処理に要する時間を全体として抑制できれば良く、上記の第１処理部３１６及び第２処理部３１７を必ずしも設ける必要はない。例えば、データ切替部３１０が、認証結果記憶部３０３の認証結果を一度のみ参照し、複数回に亘って受信したコマンドに対して、一度参照した認証結果に基づいてアクセス先を切り替えるようにしても良い。
【０１５９】
＜その他の実施形態例＞
（ａ）変形例１
上記実施形態例では、情報記憶装置１００の認証処理部３０２は、ユーザが入力したパスワードと認証コマンドと比較することで認証処理を行う。ここで、認証処理に用いるパスワードはユーザが入力するパスワードに限定されない。
【０１６０】
例えば、ホスト装置２００のフラッシュメモリ２０５内のＢＩＯＳと情報記憶装置１００との間で予め認証パスワードを登録しておいても良い。例えば、認証処理部３０２は、ホスト装置２００それぞれを識別可能な装置パスワードを認証パスワードとして登録しておく。この場合、次のように認証処理が行われる。例えば、ホスト装置２００のＣＰＵ２０１は、フラッシュメモリ２０５内のＢＩＯＳを読み出して実行することにより、装置パスワードを情報記憶装置１００へ送信する。情報記憶装置１００の認証処理部３０２は、装置パスワードと認証パスワードとを比較して認証処理を行う。これにより、認証パスワードの登録が行われたホスト装置２００と情報記憶装置１００との間でのみ、データ及びコマンドの送受信を許可する構成とすることができる。
【０１６１】
また、次に説明するように認証パスワードを複数設定しても良い。
【０１６２】
図２２、図２３は複数の認証パスワードが設定された場合の認証処理を説明する模式図である。例えば図２２に示すように、ホスト装置Ａの認証処理部３０２は、装置パスワードＡと、ユーザが入力すべきユーザ入力パスワードＢと、を登録している。本変形例では、認証処理部３０２は、装置パスワードＡ又はユーザ入力パスワードＢのいずれかに基づいて認証が成功すれば、情報記憶装置１００へのアクセスを許可する。また、装置パスワードＡは、ホスト装置ＡのＣＰＵ２０１のＢＩＯＳの実行により情報記憶装置１００に送信されるため、装置パスワードＡによる認証処理はユーザ入力パスワードＢでの認証処理よりも先に行われるものとする。
【０１６３】
ここで、図２２に示すようにホスト装置Ａと情報記憶装置１００とが接続されると、ホスト装置ＡのＣＰＵ２０１はＢＩＯＳを実行し、情報記憶装置１００に装置パスワードＡを送信する。情報記憶装置１００の認証処理部３０２は、装置パスワードＡが登録されている認証パスワードであれば、ホスト装置Ａからのアクセスを認証する。装置パスワードＡにより認証が成功したので、ユーザ入力パスワードＢの入力は不要である。このときの認証結果記憶部３０３は、装置パスワードＡによる認証が成功したことを示す“ＯＫ”と、ユーザ入力パスワードＢの入力はなされていないことを示す“−”と、を記憶している。
【０１６４】
図２３には、ホスト装置Ａと情報記憶装置１００との間で、認証処理が不可能になった場合の対処方法が示されている。一般的に、ホスト装置は、ＢＩＯＳの実行によって、まず装置パスワードＡを情報記憶装置１００に送信する。また、ホスト装置は、装置パスワードＡによる認証が成功しなかった場合、ユーザ入力パスワードＢをユーザに入力させるためのプログラムを起動しないように構成されている。そうすると、故障するなどして特定のホスト装置Ａが使用できなくなると、情報記憶装置１００にアクセスできなくなる。そこで、例えば図２３に示すように、ホスト装置Ａの代わりにホスト装置Ｂを用いて情報記憶装置１００にアクセスする。この場合、ホスト装置Ｂと情報記憶装置１００とは、例えばケーブルを介して接続する。これにより、ホスト装置Ｂでは、ＢＩＯＳの実行によって装置パスワードＢを情報記憶装置１００に送信する処理が起動されない。なお、ホスト装置Ｂは装置パスワードＢを有しており、装置パスワードＢが情報記憶装置１００に送信されても認証は成功しない。
【０１６５】
次に、ホスト装置Ｂでは、ユーザ入力パスワードＢをユーザに入力させるためのプログラムを起動し、ユーザからパスワードの入力を受け付ける。もし、ユーザがユーザ入力パスワードＢを入力すれば、情報記憶装置１００の認証処理部３０２はホスト装置Ｂからのアクセスを許可する。このときの認証結果記憶部３０３は、装置パスワードＡの入力はなされていないことを示す“−”と、ユーザ入力パスワードＢによる認証が成功したことを示す“ＯＫ”と、を記憶している。
【０１６６】
なお、前記の構成とは異なり、ホスト装置Ｂは、装置パスワードＡによる認証が失敗した場合には、ユーザ入力パスワードＢの入力を許可するプログラムを起動するようにしても良い。
【０１６７】
（ｂ）変形例２
上記実施形態では、ホスト装置２００がデータ記憶部３０４、３０５にアクセスすると、データ切替部３１０は認証結果などに応じて、アクセス先を切り替える。しかし、ホスト装置２００がデータ記憶部３０４、３０５のうちアクセス制限データ記憶部３０４にアクセスすると、データ切替部３１０は認証結果などに応じてアクセス先を切り替えるようにしても良い。例えば、データ切替部３１０は、ホスト装置２００のアクセス先がアドレスＹ１〜Ｙ２のアクセス制限データ領域以外であると判断すると、認証結果に関わらずそのままアクセス先にアクセスする。一方、データ切替部３１０は、ホスト装置２００のアクセス先がアドレスＹ１〜Ｙ２のアクセス制限データ領域内であると判断すると、認証結果記憶部３０３及びデータ切替テーブル３０７を参照してアクセス先を切り替える。つまり、データ切替部３１０は、認証結果記憶部３０３の認証結果が“ＮＧ”であり、かつデータ切替テーブル３０７を参照してダミーデータへの切替が“有効”であると判断したとする。この場合には、データ切替部３１０は、アクセス制限データ記憶部３０４へのアクセスを禁止し、代わりにダミーデータ記憶部３０５においてダミーデータを読み出し又は書き込みなどする。
【０１６８】
（ｃ）その他の変形例
上記実施形態例では、情報記憶装置１００とホスト装置２００とは別体の装置であるように記載されているが、情報記憶装置１００がホスト装置２００内に組み込まれた一体の装置であっても良い。
【０１６９】
上記実施形態例では、データ記憶部３０４、３０５の記憶領域は、アクセス制限領域１００ａ及びダミーデータ領域１００ｂを有している。その他、記憶領域には、例えば情報記憶装置のＯＳ、アクセス制限がないアクセス非制限領域などが含まれていても良い。
【０１７０】
また、カウント領域及び非カウント領域の領域数は上記実施形態例に限定されない。
【０１７１】
また、アクセス制限領域１００ａ内に記憶されるデータをアクセス制限データとし、ダミーデータ領域１００ｂ内に記憶されるデータをダミーデータとしたが、データの種類は特に限定されない。
【０１７２】
また、前述の方法をコンピュータに実行させるコンピュータプログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体は、本発明の範囲に含まれる。ここで、コンピュータ読み取り可能な記録媒体としては、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ（Compact Disc−Read Only Memory）、ＭＯ（Magneto Optical disk）、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ（ＤＶＤ−Random Access Memory）、ＢＤ（Blue-ray Disc）、ＵＳＢメモリ、半導体メモリなどを挙げることができる。前記コンピュータプログラムは、前記記録媒体に記録されたものに限られず、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送されるものであってもよい。
【０１７３】
以上の実施形態及及びその他の実施形態に関し、更に以下の付記を開示する。
【０１７４】
＜付記＞
（付記１）
ホスト装置との間でデータの入出力を行う情報記憶装置であって、
前記ホスト装置からのアクセスを受け付けるアクセス受付部と、
前記ホスト装置からのアクセスを認証するか否かを判定する認証処理部と、
第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記アクセス状況を計測しない非対象領域と、を有する記憶部と、
前記アクセス受付部が前記ホスト装置からのアクセスを受け付けると、前記認証処理部での認証が成功している場合には前記第１領域にアクセスし、前記認証処理部での認証が失敗している場合には前記第２領域へのアクセスに切り替えるデータ切替部と、
前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスが前記第１領域又は前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測するアクセス計測部と、
前記アクセス計測部での計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化する無効化部と、
を備える情報記憶装置。
【０１７５】
情報記憶装置は記憶部の第１領域に第１データを記憶し、第２領域に第２データを記憶している。ここで、例えば、第１データはアクセスが制限されたアクセス制限データであり、第２データはアクセス制限データの代替となるダミーデータである。情報記憶装置は、認証が成功している場合にはホスト装置から記憶部へのアクセスを許可する。よって、ホスト装置は、アクセスが制限された第１領域にアクセスが可能である。しかし、情報記憶装置は認証が失敗している場合は、第２データが記憶された第２領域へのアクセスに切り替える。よって、まず、認証されていないホスト装置が第１領域にアクセスするのを阻止することができる。
【０１７６】
また、認証が失敗している場合でも、ホスト装置は記憶部へのアクセスが拒否される訳ではなく、第２領域へのアクセスが可能である。そのため、ホスト装置のユーザは認証が失敗しているという印象を受けない。そのため、情報記憶装置は、認証されていないホスト装置からのアクセスを、アクセスを拒否するための所定の閾値まで誘引し、無効化部による第１データの無効化を実行可能とする。これにより、漏洩、改ざん、情報記憶装置の破壊による搾取などの不正アクセスから第１データを保護することができる。
【０１７７】
また、第１領域又は第２領域は、第１アクセス状況の計測対象である対象領域及び計測対象でない非対象領域を有している。情報記憶装置は、認証されていないホスト装置からのアクセスの場合、第１領域又は第２領域のうち対象領域のみについて第１アクセス状況を取得し、この第１アクセス状況が所定の閾値に達すると第１データを無効化する。情報記憶装置によりアクセスが認証されるはずの正当ユーザであっても、認証に必要なパスワードの入力間違いなどにより認証が失敗する場合がある。前記構成であれば、正当ユーザによる認証が失敗しても、記憶部の全ての領域について第１アクセス状況を取得する場合に比べて、第１データを無効化するまでのマージンを大きくし、正当ユーザの利便性を向上することができる。
【０１７８】
（付記２）
前記認証処理部での認証が成功している場合、前記ホスト装置からの前記第１領域又は第２領域へのアクセス先毎にアクセス回数及び／又はアクセス時間を含む第２アクセス状況を計測し、前記第２アクセス状況に基づいて前記対象領域を決定する対象領域決定部をさらに備える、付記１に記載の情報記憶装置。
【０１７９】
対象領域決定部は、正当ユーザによる第２アクセス状況を取得し、取得した第２アクセス状況に基づいて対象領域を決定する。例えば、対象領域決定部は、アクセス回数が少ないアクセス先を対象領域に決定する。よって、正当ユーザが対象領域を設定する手間を省くことができる。また、第２アクセス状況に基づいて対象領域が設定されるため、ユーザによる設定に比べて、正当ユーザによるアクセスが少ない領域を対象領域として正確に設定することができる。
【０１８０】
なお、アクセス状況は常に変化するものであるので、対象領域決定部は、第２アクセス状況の変化に応じて対象領域を随時に変更しても良い。これにより、アクセス状況に応じた対象領域の設定が可能となる。
【０１８１】
（付記３）
前記認証処理部での認証が成功している場合に、前記ホスト装置からのアクセスを受け付け、前記アクセスに応じて前記第１領域にアクセスする第１処理部と、
前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスを受け付け、前記アクセスに応じて前記第２領域にアクセスする第２処理部と、
前記データ切替部は、前記認証処理部での認証が成功している場合に前記第１処理部を起動し、前記認証処理部での認証が失敗している場合に前記第２処理部を起動し、
前記アクセス計測部は、前記第２処理部が受け付けた前記ホスト装置からのアクセスが、前記第１領域又は前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測する、付記１に記載の情報記憶装置。
【０１８２】
認証の成功又は失敗に応じて、それぞれ第１処理部及び第２処理部のいずれかを起動し、その後、情報記憶装置の起動が停止するまで、起動された処理部がホスト装置とコマンド及びデータなどの送受信を行う。よって、情報記憶装置は、ホスト装置からコマンド等を受信する度に前記認証処理部での認証結果を参照する必要がなく、ホスト装置からのアクセスに伴うアクセス処理に要する時間を全体として抑制することができる。
【０１８３】
（付記４）
前記ホスト装置と前記情報記憶装置との間には、前記ホスト装置に固有の装置パスワードと、前記ホスト装置のユーザにより設定されたユーザパスワードとが設定されており、
前記認証処理部は、前記装置パスワード又はユーザパスワードのいずれかに基づいて、前記記憶部へのアクセスを認証するか否かを判定する、付記１に記載の情報記憶装置。
【０１８４】
例えば、情報記憶装置が、装置パスワードによって、特定のホスト装置とのアクセスのみを認証しているとする。この場合、特定のホスト装置が故障するなどして使用できなくなると、情報記憶装置にアクセスできなくなる。しかし、上記構成によれば、ユーザパスワードによっても記憶部へのアクセスが可能である。
【０１８５】
（付記５）
ホスト装置との間でデータの入出力を行う情報記憶装置に実行させるための情報記憶プログラムであって、
前記ホスト装置からのアクセスを受け付けるアクセス受付部、
前記ホスト装置からのアクセスを認証するか否かを判定する認証処理部、
第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記アクセス状況を計測しない非対象領域と、を有する記憶部、
前記アクセス受付部が前記ホスト装置からのアクセスを受け付けると、前記認証処理部での認証が成功している場合には前記第１領域にアクセスし、前記認証処理部での認証が失敗している場合には前記第２領域へのアクセスに切り替えるデータ切替部、
前記認証処理部での認証が失敗している場合に、前記ホスト装置からのアクセスが前記第１領域又は前記第２領域の対象領域へのアクセスであると判断すると、前記第１アクセス状況を計測するアクセス計測部、
前記アクセス計測部での計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化する無効化部、
として前記情報記憶装置を機能させる情報記憶プログラム。
【０１８６】
（付記６）
ホスト装置との間でデータの入出力を行う情報記憶装置が行う情報記憶方法であって、
前記情報記憶装置は、第１データを記憶する第１領域と、前記第１データの代替となる第２データを記憶する第２領域と、を含み、前記第１領域又は前記第２領域が、前記ホスト装置からのアクセス回数及び／又はアクセス時間を含む第１アクセス状況を計測する対象である対象領域と、前記アクセス状況を計測しない非対象領域と、を有する記憶部を備えており、
前記ホスト装置からのアクセスを受け付け、
前記ホスト装置からのアクセスを認証するか否かを判定し、
前記ホスト装置からのアクセスについて前記認証が成功している場合には前記第１領域にアクセスし、前記認証が失敗している場合には前記第２領域へのアクセスに切り替え、
前記認証が失敗している場合に、前記ホスト装置からのアクセスが前記第１領域又は前記第２領域の対象領域へのアクセスを計測し、
前記計測結果と所定値とを比較した結果に基づいて、前記第１領域の第１データを無効化するか否かを判定する、
情報記憶方法。
【符号の説明】
【０１８７】
１００：情報記憶装置 
１００ａ：アクセス制限領域
１００ｂ：ダミーデータ領域
２００：ホスト装置   
３０１：送受信部     
３０２：認証処理部   
３０３：認証結果記憶部      
３０４：アクセス制限データ記憶部   
３０５：ダミーデータ記憶部  
３０６：登録部
３０７：データ切替テーブル  
３０８：カウント条件テーブル
３０９：ダミーデータ生成部  
３１０：データ切替部 
３１１：アクセスカウント部  
３１２：カウント結果記憶部  
３１３：無効化部     
３１４：カウント領域決定部  
３１５：アクセス状況記憶部  
３１６：第１処理部
３１７：第２処理部
【図１】
0005402498.tif 000002
【図２】
0005402498.tif 000003
【図３】
0005402498.tif 000004
【図４Ａ】
0005402498.tif 000005
【図４Ｂ】
0005402498.tif 000006
【図５】
0005402498.tif 000007
【図６Ａ】
0005402498.tif 000008
【図６Ｂ】
0005402498.tif 000009
【図７Ａ】
0005402498.tif 000010
【図７Ｂ】
0005402498.tif 000011
【図７Ｃ】
0005402498.tif 000012
【図８】
0005402498.tif 000013
【図９】
0005402498.tif 000014
【図１０】
0005402498.tif 000015
【図１１】
0005402498.tif 000016
【図１２】
0005402498.tif 000017
【図１３】
0005402498.tif 000018
【図１４】
0005402498.tif 000019
【図１５】
0005402498.tif 000020
【図１６】
0005402498.tif 000021
【図１７】
0005402498.tif 000022
【図１８】
0005402498.tif 000023
【図１９】
0005402498.tif 000024
【図２０】
0005402498.tif 000025
【図２１】
0005402498.tif 000026
【図２２】
0005402498.tif 000027
【図２３】
0005402498.tif 000028